Hozzáférési felülvizsgálatok használata a feltételes hozzáférési szabályzatokból kizárt felhasználók kezeléséhez
Egy ideális világban minden felhasználó a hozzáférési szabályzatokat követve biztosíthatja a szervezet erőforrásaihoz való hozzáférést. Vannak azonban olyan üzleti esetek, amelyek kivételeket követelnek meg. Ez a cikk néhány példát mutat be azokra a helyzetekre, amikor szükség lehet kizárásokra. Ön, mint informatikai rendszergazda, kezelheti ezt a feladatot, elkerülheti a házirend kivételek felügyeletét, és a Microsoft Entra hozzáférési felülvizsgálatok segítségével bizonyíthatja az ellenőrök számára, hogy ezeket a kivételeket rendszeresen felülvizsgálják.
Feljegyzés
A Microsoft Entra hozzáférési felülvizsgálatainak használatához érvényes Microsoft Entra-azonosítójú P2 vagy Microsoft Entra ID-kezelés, Nagyvállalati mobilitás + Biztonsági E5 fizetős vagy próbaverziós licenc szükséges. További információ: Microsoft Entra-kiadások.
Miért zárná ki a felhasználókat a szabályzatokból?
Tegyük fel, hogy rendszergazdaként úgy dönt, hogy a Microsoft Entra Feltételes hozzáféréssel többtényezős hitelesítést (MFA) igényel, és a hitelesítési kérelmeket bizonyos hálózatokra vagy eszközökre korlátozza. Az üzembe helyezés tervezése során rájön, hogy nem minden felhasználó felel meg ezeknek a követelményeknek. Lehetnek például olyan felhasználók, akik távoli irodákból dolgoznak, nem pedig a belső hálózat részeként. A nem támogatott eszközökkel csatlakozó felhasználókat is el kell fogadnia, miközben az eszközök cseréjére vár. Röviden: a vállalatnak szüksége van ezekre a felhasználókra, hogy jelentkezzenek be, és elvégezzék a feladatukat, így kizárhatja őket a feltételes hozzáférési szabályzatokból.
Egy másik példaként a feltételes hozzáférésben elnevezett helyeket használhat olyan országok és régiók halmazának megadásához, amelyekből nem szeretné engedélyezni a felhasználók számára, hogy hozzáférjenek a bérlőjükhöz.
Sajnos előfordulhat, hogy egyes felhasználóknak továbbra is van okuk bejelentkezni ezekből a blokkolt országokból/régiókból. Előfordulhat például, hogy a felhasználók munka céljából utaznak, és hozzá kell férni a vállalati erőforrásokhoz. Ebben az esetben a feltételes hozzáférési szabályzat, amely letiltja ezeket az országokat/régiókat, egy felhőbiztonsági csoportot használhat a szabályzat kizárt felhasználói számára. Azok a felhasználók, akiknek utazás közben hozzáférésre van szükségük, hozzáadhatják magukat a csoporthoz a Microsoft Entra önkiszolgáló csoportkezelésével.
Egy másik példa lehet, hogy feltételes hozzáférési szabályzattal rendelkezik, amely letiltja az örökölt hitelesítést a felhasználók többsége számára. Ha azonban vannak olyan felhasználói, akiknek örökölt hitelesítési módszereket kell használniuk az erőforrások Office 2010-en vagy IMAP-/SMTP-/POP-alapú ügyfeleken keresztüli eléréséhez, akkor kizárhatja ezeket a felhasználókat az örökölt hitelesítési módszereket letiltó szabályzatból.
Feljegyzés
A Microsoft határozottan javasolja, hogy tiltsa le az örökölt protokollok használatát a bérlőben a biztonsági helyzet javítása érdekében.
Miért kihívást jelentenek a kizárások?
A Microsoft Entra ID-ban a feltételes hozzáférési szabályzatok hatóköre több felhasználóra is kiterjedhet. A kizárásokat a Microsoft Entra szerepkörök, egyéni felhasználók vagy vendégek kiválasztásával is konfigurálhatja. Ne feledje, hogy a kizárások konfigurálásakor a szabályzat szándéka nem kényszeríthető ki kizárt felhasználókra. Ha a kizárások felhasználók listájával vagy régebbi helyszíni biztonsági csoportokkal vannak konfigurálva, akkor korlátozottan tudja áttekinteni a kizárásokat. Ennek eredménye:
Előfordulhat, hogy a felhasználók nem tudják, hogy ki vannak zárva.
A felhasználók csatlakozhatnak a biztonsági csoporthoz a szabályzat megkerüléséhez.
A kizárt felhasználók korábban is jogosultak lettek volna a kizárásra, de már nem jogosultak rá.
Amikor először konfigurál egy kizárást, gyakran megjelenik a szabályzatot megkerülő felhasználók listája. Idővel egyre több felhasználó lesz hozzáadva a kizáráshoz, és a lista növekszik. Egy bizonyos ponton át kell tekintenie a listát, és ellenőriznie kell, hogy ezek a felhasználók továbbra is jogosultak-e a kizárásra. A kizárási lista kezelése technikai szempontból viszonylag egyszerű lehet, de ki hozza meg az üzleti döntéseket, és hogyan győződjön meg arról, hogy minden auditozható? Ha azonban egy Microsoft Entra-csoporttal konfigurálja a kizárást, a hozzáférési felülvizsgálatokat kompenzáló vezérlőként használhatja a láthatóság fokozása és a kizárt felhasználók számának csökkentése érdekében.
Kizárási csoport létrehozása feltételes hozzáférési szabályzatban
Az alábbi lépéseket követve hozzon létre egy új Microsoft Entra-csoportot és egy olyan feltételes hozzáférési szabályzatot, amely nem vonatkozik az adott csoportra.
Kizárási csoport létrehozása
Jelentkezzen be a Microsoft Entra felügyeleti központba legalább felhasználói Rendszergazda istratorként.
Tallózással keresse meg a Minden csoport identitáscsoportot>>.
Válassza az Új csoportot.
A Csoporttípus listában válassza a Biztonság lehetőséget. Adjon meg egy nevet és leírást.
Győződjön meg arról, hogy a tagság típusát Hozzárendelt értékre állítja.
Jelölje ki a kizárási csoporthoz tartozó felhasználókat, majd válassza a Létrehozás lehetőséget.
A csoportot kizáró feltételes hozzáférési szabályzat létrehozása
Most létrehozhat egy feltételes hozzáférési szabályzatot, amely ezt a kizárási csoportot használja.
Jelentkezzen be a Microsoft Entra felügyeleti központbafeltételeshozzáférés-adminisztrátorként.
Keresse meg a védelmi>feltételes hozzáférést.
Válassza az Új szabályzat létrehozása lehetőséget.
Adjon nevet a házirendnek. Javasoljuk, hogy a szervezetek hozzanak létre egy értelmes szabványt a szabályzataik nevének megfelelően.
A Hozzárendelések csoportban válassza a Felhasználók és csoportok lehetőséget.
A Belefoglalás lapon válassza a Minden felhasználó lehetőséget.
A Kizárás csoportban válassza a Felhasználók és csoportok lehetőséget, és válassza ki a létrehozott kizárási csoportot.
Feljegyzés
Ajánlott eljárásként javasoljuk, hogy a tesztelés során legalább egy rendszergazdai fiókot zárjon ki a szabályzatból, hogy meggyőződjön arról, hogy nincs kizárva a bérlőből.
Folytassa a feltételes hozzáférési szabályzat beállítását a szervezeti követelmények alapján.
Két példát mutatunk be, ahol hozzáférési felülvizsgálatokkal kezelheti a feltételes hozzáférési szabályzatok kizárásait.
1. példa: Hozzáférés-felülvizsgálat a tiltott országokból/régiókból hozzáférő felhasználók számára
Tegyük fel, hogy van egy feltételes hozzáférési szabályzata, amely letiltja a hozzáférést bizonyos országokból/régiókból. Olyan csoportot tartalmaz, amely nem szerepel a szabályzatban. Az alábbiakban egy ajánlott hozzáférési felülvizsgálatot talál, amelyben a csoport tagjait áttekintjük.
Feljegyzés
A hozzáférési felülvizsgálatok létrehozásához globális rendszergazdai vagy felhasználói rendszergazdai szerepkör szükséges. A hozzáférési felülvizsgálatok létrehozásáról részletes útmutatót a következő témakörben talál: Csoportok és alkalmazások hozzáférési felülvizsgálatának létrehozása.
A felülvizsgálat minden héten megtörténik.
A felülvizsgálat soha nem ér véget, hogy biztosan naprakészen tartsa ezt a kizárási csoportot.
A csoport minden tagja a véleményezés hatókörébe tartozik.
Minden felhasználónak önigazolnia kell, hogy továbbra is hozzáférésre van szüksége ezekből a blokkolt országokból/régiókból, ezért továbbra is a csoport tagjának kell lennie.
Ha a felhasználó nem válaszol a felülvizsgálati kérelemre, a rendszer automatikusan eltávolítja őket a csoportból, és már nem fér hozzá a bérlőhöz, miközben ezen országokba/régiókba utazik.
Engedélyezze az e-mail-értesítéseket, hogy tájékoztassa a felhasználókat a hozzáférési felülvizsgálat kezdetéről és befejezéséről.
2. példa: Hozzáférés-felülvizsgálat az örökölt hitelesítéssel hozzáférő felhasználók számára
Tegyük fel, hogy van egy feltételes hozzáférési szabályzata, amely letiltja az örökölt hitelesítést és régebbi ügyfélverziókat használó felhasználók hozzáférését, és tartalmaz egy csoportot, amely nem szerepel a szabályzatban. Az alábbiakban egy ajánlott hozzáférési felülvizsgálatot talál, amelyben a csoport tagjait áttekintjük.
Ennek a felülvizsgálatnak ismétlődő felülvizsgálatnak kell lennie.
A csoport minden résztvevőjének felül kell vizsgálnia.
Konfigurálható úgy, hogy az üzleti egység tulajdonosait a kiválasztott véleményezők közé sorolja.
Automatikusan alkalmazza az eredményeket, és távolítsa el a nem jóváhagyott felhasználókat az örökölt hitelesítési módszerek használatának folytatásához.
Hasznos lehet a javaslatok engedélyezése, hogy a nagy csoportok véleményezői könnyen meghozhassák döntéseiket.
Engedélyezze az e-mail-értesítéseket, hogy a felhasználók értesítést kaphassanak a hozzáférési felülvizsgálat kezdetéről és befejezéséről.
Fontos
Ha sok kizárási csoport van, és ezért több hozzáférési felülvizsgálatot kell létrehoznia, a Microsoft Graph lehetővé teszi, hogy programozott módon hozza létre és kezelje őket. Első lépésként tekintse meg a hozzáférési felülvizsgálatok API-referenciáit és oktatóanyagát a Microsoft Graph hozzáférési felülvizsgálati API-jának használatával.
Hozzáférés a felülvizsgálati eredményekhez és a naplókhoz
Most, hogy minden a helyén van, a csoport, a feltételes hozzáférési szabályzat és a hozzáférési felülvizsgálatok, ideje monitorozni és nyomon követni ezeknek a felülvizsgálatoknak az eredményeit.
Jelentkezzen be a Microsoft Entra felügyeleti központba legalább identitásirányítási Rendszergazda istratorként.
Tallózással keresse meg az Identitásszabályozási>hozzáféréssel kapcsolatos felülvizsgálatokat.
Válassza ki azt az Access-felülvizsgálatot, amelyet azzal a csoporttal használ, amelyhez kizárási szabályzatot hozott létre.
Az Eredmények gombra kattintva megtekintheti, hogy ki maradt a listán, és ki lett eltávolítva.
Válassza az Auditnaplók lehetőséget a felülvizsgálat során végrehajtott műveletek megtekintéséhez.
Informatikai rendszergazdaként tudja, hogy a szabályzatok kizárási csoportjainak kezelése néha elkerülhetetlen. Ezeknek a csoportoknak a fenntartása, az üzleti tulajdonos vagy maguk a felhasználók által történő rendszeres ellenőrzése és a módosítások naplózása azonban egyszerűbbé tehető a hozzáférési felülvizsgálatokkal.